RSA-2048 después de 2030: lo que propone el borrador NIST IR 8547

NIST IR 8547 es un borrador público inicial, publicado el 12 de noviembre de 2024 y que seguía siendo un borrador en septiembre de 2026. Propone declarar obsoletos (deprecated), después de 2030, los algoritmos de clave pública vulnerables a la computación cuántica con un nivel de seguridad de 112 bits, siendo RSA-2048 el ejemplo habitual, y dejar de permitir (disallowed) todos los algoritmos de clave pública vulnerables a la computación cuántica después de 2035. Esas dos fechas son propuestas de un borrador, no requisitos definitivos del NIST, aunque con frecuencia se citan como si ya estuvieran en vigor.

Qué es NIST IR 8547

NIST IR 8547 se publicó como borrador público inicial el 12 de noviembre de 2024 (csrc.nist.gov/pubs/ir/8547/ipd). Un borrador público inicial es la primera versión que se somete a comentarios públicos. Puede revisarse, reorganizarse o ver ajustadas sus fechas antes de que aparezca una versión definitiva. En septiembre de 2026 no se ha publicado ninguna versión definitiva.

Conviene leerlo junto con NIST SP 800-131A Rev. 3, que también es un borrador público inicial (21 de octubre de 2024, csrc.nist.gov/pubs/sp/800/131/a/r3/ipd). SP 800-131A es la publicación que recoge las reglas de transición de algoritmos para el uso federal estadounidense, y esas reglas se trasladan a lo que pueden hacer los módulos criptográficos validados, motivo por el cual fabricantes y auditores siguen de cerca ambos documentos. Los dos son borradores. Ninguno es una ley, y ninguno vincula por sí solo a una empresa privada.

Obsoleto y no permitido son términos técnicos

En el vocabulario de transición del NIST, las dos palabras no son sinónimas. Obsoleto (deprecated) significa que un algoritmo sigue aprobado, pero su uso se desaconseja y conlleva un riesgo reconocido. No permitido (disallowed) significa que ya no está aprobado para el uso descrito. El borrador propone el primer estado después de 2030 y el segundo después de 2035, y define los términos que utiliza: lea el propio borrador antes de citar una definición en una política interna.

Por qué el umbral de 112 bits recae en RSA-2048

El borrador razona en niveles de seguridad y no en tamaños de clave, y RSA-2048 es el ejemplo que ofrece para el nivel de 112 bits. La consecuencia práctica es que una transición planteada de este modo va mucho más allá de RSA. ECDSA, EdDSA, ECDH, Diffie-Hellman sobre cuerpos finitos y DSA quedan todos rotos por el algoritmo de Shor en un ordenador cuántico suficientemente grande, sea cual sea el tamaño de clave. DSA ya no está aprobado para la generación de firmas según FIPS 186-5, que solo permite la verificación de firmas heredadas.

Una clave RSA más grande no es una migración

Pasar de RSA-2048 a un módulo mayor eleva el nivel de seguridad clásico, y por eso BSI TR-02102-1 exige RSA de al menos 3000 bits. No sirve de nada frente al algoritmo de Shor. La respuesta cuántica es otra familia de algoritmos: ML-KEM (mecanismo de encapsulación de claves, estandarizado en FIPS 203 el 13 de agosto de 2024) para el establecimiento de claves, y ML-DSA o SLH-DSA para las firmas. Consulte la página de ML-KEM para ver los conjuntos de parámetros estandarizados y los grupos TLS que los utilizan.

El orden de los trabajos importa. «Recolectar ahora, descifrar después» (HNDL, harvest now, decrypt later) significa que un adversario graba hoy el tráfico cifrado y lo descifra más adelante: las sesiones grabadas solo están protegidas por el intercambio de claves. Por eso el intercambio de claves híbrido va primero, y por eso los certificados y las firmas pueden migrar después. Un parque que sigue firmando con certificados RSA-2048 pero negocia un grupo híbrido ML-KEM está en mejor posición que en el caso inverso.

Cómo se compara el borrador con BSI, la UE y otros

La ventana de 2030 a 2035 no es exclusiva del NIST, pero el peso jurídico de cada documento difiere notablemente. La tabla siguiente mantiene cada fuente en su propia categoría. La lista completa y fechada, con fuentes primarias para cada hito, se encuentra en nuestro artículo de referencia sobre los plazos de migración poscuántica.

Conviene dejar claros dos puntos. En primer lugar, las únicas obligaciones con fecha firme de esa tabla se aplican a las agencias federales de EE. UU.; BSI TR-02102-1 es una directriz técnica (el propio documento), y la hoja de ruta de la UE es una orientación coordinada dirigida a los Estados miembros. La ANSSI indica que sus recomendaciones sobre PQC aún no son obligaciones reglamentarias fuera de su ámbito regulado (cualificación de productos y determinados operadores regulados), donde la hibridación es obligatoria; pretende exigir PQC a los productos que entren en cualificación a partir de 2027 y considera que, después de 2030, comprar productos sin PQC no será razonable, lo cual es una recomendación. En segundo lugar, todos estos textos convergen en los mismos dos primeros pasos, el inventario y el intercambio de claves híbrido, y por eso el destino del borrador no cambia lo que hay que hacer ahora.

Qué hacer mientras el borrador siga siendo un borrador

Este artículo es información, no asesoramiento jurídico. La secuencia siguiente es trabajo de ingeniería habitual, y es la misma tanto si la versión definitiva de NIST IR 8547 mantiene, desplaza o suaviza las fechas propuestas.

1. Sepa dónde está RSA-2048. Inventaríe claves, certificados y configuraciones TLS, con tamaño de clave, algoritmo de firma, responsable y fecha de caducidad. El requisito 12.3.3 de PCI DSS v4.0.1 exige que las suites de cifrado y los protocolos en uso estén documentados y se revisen al menos cada 12 meses, incluida una estrategia documentada ante cambios previstos en las vulnerabilidades criptográficas; es obligatorio desde el 31 de marzo de 2025.
2. Redacte la cláusula de agilidad, no el algoritmo. Las RTS de DORA, Reglamento Delegado (UE) 2024/1774 de la Comisión, Art. 6, exigen literalmente una política de cifrado y controles criptográficos que incluya disposiciones para actualizar o cambiar la tecnología criptográfica en función de la evolución del criptoanálisis, y el Art. 7 exige la gestión de claves durante todo su ciclo de vida, además de un registro de certificados para los activos TIC que respaldan funciones críticas o importantes. Consulte la página de DORA para conocer el ámbito exacto. Nuestra interpretación, no un requisito literal: una política que nombra un desencadenante de revisión (la publicación de un documento de transición definitivo del NIST, por ejemplo) es una forma más sencilla de cumplir el Art. 6 que una política que nombra RSA-2048 y una fecha.
3. Active el intercambio de claves híbrido allí donde se graban sesiones. Primero la terminación TLS y VPN expuesta al público, ya que es el objetivo de HNDL.
4. Limite conscientemente la vida útil de los certificados. Un certificado RSA-2048 emitido hoy no debería concebirse para seguir siendo válido más allá de la ventana que importa a su sector.

Primero, comprobaciones de solo lectura. Estos comandos informan de lo que está realmente desplegado, y no de lo que afirma la documentación:

openssl x509 -in server.crt -noout -subject -enddate
openssl x509 -in server.crt -noout -text | grep -E "Public-Key|Signature Algorithm"
openssl s_client -connect example.com:443 -tls1_3 -groups X25519MLKEM768 </dev/null

Los grupos TLS de ML-KEM requieren OpenSSL 3.5 o posterior, por lo que un cliente más antiguo rechazará el nombre del grupo, no el servidor. Cuando pase a cambios de configuración, mantenga una alternativa clásica (incluya X25519 después de X25519MLKEM768) y pruebe en preproducción antes de producción.

Siguiente paso: medir y luego planificar

Antes de citar una fecha de un borrador en un documento para el consejo de administración, compruebe los hechos en su propio perímetro: si sus servidores ya negocian un grupo híbrido ML-KEM, qué versiones de TLS aceptan y qué tamaños de clave y algoritmos de firma hay en la cadena de certificados. Puede analizar su dominio con PQC Status de forma gratuita y utilizar el resultado como primera línea del inventario descrito anteriormente. Un análisis describe únicamente la configuración TLS visible desde el exterior: no es una certificación ni una declaración de cumplimiento.